Katalog podatności CVE

W jądrze Linux naprawiono podatność w module TIPC, gdzie przy przekroczeniu limitu TIPC_MAX_PUBL (65535) publikacji usług lokalnych, typy usług protokołu (stan węzła, stan łącza) nie były już wstawiane do tablicy nazw. Prowadziło to do braku powiadomień o zdarzeniach oraz do dereferencji NULL w funkcji tipc_named_node_up() przy pustej liście publikacji.

W jądrze Linuxa w protokole TIPC naprawiono problem wysyłania losowych bajtów dopełnienia w komunikatach RESET/ACTIVATE. Poprzednio używano strcpy(), co mogło wysyłać przypadkowe dane z bufora skb do zdalnego systemu. Teraz używane jest memcpy(), które kopiuje wyzerowane bajty dopełnienia.

W jądrze Linux w funkcji tpacket_parse_header() (podsystem af_packet) wartość tp_len pochodząca od użytkownika (typ u32) była rzutowana na typ int. Wartość większa niż INT_MAX stawała się liczbą ujemną, która przechodziła sprawdzenie zakresu i była zwracana do funkcji sock_sendmsg_nosec(), wywołując BUG().

W jądrze Linux w sterowniku fbtft (staging) blokada dirty_lock nie była bezpieczna dla przerwań IRQ. Funkcja fbtft_mkdirty() może być wywołana ze ścieżki renderowania fbcon w kontekście hardirq, podczas gdy fbtft_deferred_io() używa tej samej blokady w kontekście workqueue z włączonymi przerwaniami lokalnymi, co prowadzi do możliwej inwersji blokad i zakleszczenia.

W jądrze Linux w sterowniku ASoC amd yc funkcja acp6x_pdm_dma_close() nie zwalnia bufora runtime->private_data przydzielonego w acp6x_pdm_dma_open(). Brakuje wywołania kfree, co powoduje wyciek pamięci.

W jądrze Linux w systemie plików btrfs podczas tworzenia pierwszego fragmentu metadanych dla systemu plików sprout funkcja create_chunk() dodaje nowe urządzenie do listy dev_update_list transakcji. Jeśli utworzenie kolejnego fragmentu systemowego się nie powiedzie, btrfs_init_new_device() przerywa transakcję i zwalnia urządzenie, gdy post_commit_list jest nadal połączona, co powoduje ostrzeżenie i pozostawia listę transakcji wskazującą na zwolnioną pamięć.

W jądrze Linux w systemie plików btrfs funkcja btrfs_init_new_device() przełącza wskaźniki latest_dev i s_bdev z urządzenia seed na nowe urządzenie sprout przed utworzeniem pierwszych zapisywalnych fragmentów. Jeśli utworzenie fragmentu lub konfiguracja sprout się nie powiedzie, ścieżka błędu zwalnia nowe urządzenie bez przywrócenia tych wskaźników, co może spowodować odwołanie do zwolnionej pamięci w btrfs_show_devname() i awarię.

W jądrze Linuxa w systemie plików btrfs występuje wyciek pamięci struktury bioc na liście bioc_list obiektu ordered_extent. Błąd może wystąpić podczas wstawiania rozszerzenia RAID lub gdy ordered extent napotka błąd I/O, co powoduje pominięcie zwolnienia bioc.

W jądrze Linux w podsystemie btrfs występuje błąd, który podczas tworzenia snapshotów z włączonymi qgroupami (quota) wymusza niepotrzebne tworzenie reloc root. Prowadzi to do ostrzeżenia jądra w funkcji lookup_inline_extent_backref i przełączenia systemu plików w tryb tylko do odczytu (RO). Problem ujawnia się m.in. podczas operacji balance/relocate na systemie plików btrfs z włączoną opcją quota.

W jądrze Linuxa w IPVS występuje błąd odwróconej kolejności argumentów w serializacji sekwencji w wersji 1 synchronizacji. Powoduje to pozostawienie 24 bajtów wiadomości niezapisanych, co może ujawnić nieświeże dane ze sterty i zastąpić stan sekwencji połączenia wartościami z bufora.

W jądrze Linux punkty śledzenia signal_generate i signal_deliver deklarują argument info jako wskaźnik do struct kernel_siginfo, przez co btf_ctx_access() traktuje go jako zaufany wskaźnik dla programów tp_btf. Jednak dostarczanie sygnałów używa SEND_SIG_NOINFO (0) i SEND_SIG_PRIV (1) jako wartości specjalnych, które nie są wskaźnikami. Program tp_btf może wywołać dereferencję tych wartości i spowodować błąd jądra, a signal_generate może działać w kontekście przerwania timera, co prowadzi do paniki jądra.

W jądrze Linux funkcja do_wait() przekazuje wo->wo_pid do punktu śledzenia sched_process_wait, ale kernel_wait4() pozostawia wo_pid jako NULL dla wait4(-1), a kernel_waitid_prepare() robi to samo dla waitid(P_ALL). btf_ctx_access() typuje argument 0 jako PTR_TO_BTF_ID | PTR_TRUSTED bez PTR_MAYBE_NULL, więc weryfikator akceptuje niesprawdzoną dereferencję. Ponieważ zaufane wskaźniki nie mają ochrony przed błędami, oczekiwanie na dowolne dziecko może spowodować dereferencję NULL w kodzie BPF JIT. Poprawka oznacza argument 0 jako nullable.

W jądrze Linux funkcje bpf_sys_bpf() i bpf_sys_close() mogą usypiać (np. przez muteksy, alokacje GFP_KERNEL, oczekiwanie na RCU grace period), ale nie mają ustawionego .might_sleep w prototypach. Są one ograniczone do BPF_PROG_TYPE_SYSCALL, którego program główny jest usypialny, ale callback bpf_timer zarejestrowany przez program syscall jest sprawdzany w kontekście nieusypialnym. Taki callback może wywołać bpf_sys_bpf() z kontekstu softirq hrtimer i wywołać błąd planowania w kontekście atomowym. Poprawka ustawia .might_sleep na obu prototypach.

W jądrze Linux w sterowniku ASoC Intel AVS funkcja strace_open() wywołuje try_module_get(), które przy powodzeniu zwiększa licznik referencji modułu. Jeśli kolejna operacja spowoduje niepowodzenie strace_open(), licznik referencji nie jest zmniejszany, co prowadzi do niezrównoważonego stanu.

W jądrze Linux w sterowniku ASoC Intel AVS kod odwołuje się do wpisów w tablicy init_configs za pomocą indeksów z tablicy config_ids, które są ograniczone przez num_config_ids, a nie num_init_configs. Użycie identyfikatora większego lub równego num_init_configs prowadzi do dostępu poza zakresem tablicy w avs_path_module_send_init_configs().

W jądrze Linux w sterowniku sieciowym bcmasp funkcja tx_spb_ring_full() inicjalizowała next_index od intf->tx_spb_index w każdej iteracji pętli, przez co incr_ring() zawsze dawał ten sam wynik i tylko jeden slot był testowany. Powodowało to nieprawidłowe sprawdzanie dostępności kolejnych slotów deskryptorów przed transmisją.

W jądrze Linux w podsystemie BPF funkcja is_cmpxchg_insn() dopasowuje tylko BPF_MODE == BPF_ATOMIC, przez co arena cmpxchg nie otrzymuje wymaganego rozszerzenia zerowego dla 32-bitowej operacji. Może to prowadzić do nieprawidłowych wartości w rejestrze docelowym na architekturach wymagających jawnego rozszerzenia zerowego.

Urządzenie Regesta Smart HD-PLC firmy Teldat (model TLDPH16D2) z podatną wersją firmware'u (11.02.06.00.02) jest podatne na atak Cross-Site Scripting (XSS). Atakujący z dostępem sieciowym (wymagana rejestracja) może wstrzyknąć specjalny ładunek poprzez parametr 'cmdcookie' w /upgrade/index.html.

Moduł cisco_firesight_manager_ACL_rule_export w misp-modules generuje skrypt powłoki (.sh), który uwierzytelnia się i wywołuje API Cisco fireSIGHT Manager. Moduł wstawia wartości konfiguracyjne (adres IP, login, hasło, ID domeny, ID polityki) oraz wartości atrybutów MISP (docelowe adresy IP, URL-e, komentarze) bezpośrednio do ciągów znaków w pojedynczych cudzysłowach bez ucieczki, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń powłoki. Analityk bezpieczeństwa, który uruchomi wygenerowany skrypt, wykona wstrzyknięte polecenia z własnymi uprawnieniami, co może narazić poświadczenia fireSIGHT Manager, zmodyfikować reguły ACL lub zainfekować stację roboczą. Dodatkowo moduł ma wadę, w której zmienna 'config' jest przypisywana tylko w bloku warunkowym, ale używana bezwarunkowo, co powoduje NameError (denial of service), gdy żądanie nie zawiera klucza 'config'.

Apache Qpid Broker-J nieprawidłowo obsługuje skompresowane dane w współdzielonym dekompresorze GZIP używanym dla AMQP 0-8/0-9/0-9-1 i AMQP 0-10. Uwierzytelniony producent wiadomości może wyczerpać pamięć i zakłócić dostępność brokera, przetwarzając dane bez limitu rozmiaru zdekompresowanego wyjścia.